Каждый образовательный учреждение в России собирает и обрабатывает персональные данные учащихся: ФИО, даты рождения, адреса, успеваемость, медицинские сведения и многое другое. Нарушение конфиденциальности этой информации влечёт за собой жёсткие юридические последствия как для самой школы, так и для её руководителей. Ниже разобраны ключевые нормы, санкции и практические рекомендации на 2026 год.

Нормативная база

Основной закон — 152-ФЗ

Федеральный закон от № 152-ФЗ «О персональных данных» (далее — 152-ФЗ) устанавливает:

• Обязанность оператора (школы, колледжа, вуза) обеспечивать безопасность ПДн (ст. 19).
• Срок уведомления Роскомнадзора при утечке — 24 часа после выявления факта (ч. 3.1 ст. 21).
• Обязательное согласие законного представителя несовершеннолетнего (ст. 9).

Отраслевые акты

1. Приказ Минпросвещения № 2/2024 «Об утверждении Порядка обработки ПДн обучающихся».
2. ГОСТ Р ISO/IEC 27001-2022 — международный стандарт по ИБ.
3. Федеральный закон «Об образовании» № 273-ФЗ (ст. 28 — конфиденциальность информации).

Что считается утечкой

Согласно методическим письмам РКН, к утечке относятся:

• Размещение в открытом доступе электронных журналов/дневников без маскирования ФИО и оценок.
• Утрата USB-накопителя с экзаменационными материалами.
• Рассылка писем родителям по общей копии (CC) вместо скрытой копии (BCC).
• Хищение базы данных из-за слабого пароля администратора.

Юридические последствия

Административная ответственность (КоАП РФ)

Уголовная ответственность (ст. 137 УК РФ)

Если утечка повлекла тяжкие последствия (суицид ребёнка, мошенничество на крупную сумму, публичное унижение), виновному грозит:

• штраф до 500 000 ₽;
• обязательные работы до 480 ч;
• лишение свободы до 4 лет.

Гражданско-правовые иски

Родители пострадавших могут подать:

1. Иск о компенсации морального вреда (ст. 151 ГК РФ). Судебная практика: 10 000–300 000 ₽.
2. Иск о взыскании убытков, если данные использовались мошенниками.
3. Коллективный иск к оператору и подрядчику, если утечка произошла в облачной системе.

Реальные кейсы 2025–2026 гг.

Кейс 1: «Электронный дневник школы № 45» — город Краснодар

В январе 2025 года журнал с оценками 2 300 учащихся был доступен по прямой ссылке без авторизации. РКН выписал школе штраф 120 000 ₽, директор получил предупреждение.

Кейс 2: Университет ИТМО, магистратура

Утечка базы абитуриентов (640 тыс. записей) через подрядчика-студию визуализации данных. Роскомнадзор оштрафовал вуз на 250 000 ₽, подрядчика, на 500 000 ₽, студенты подали коллективный иск на 3,2 млн ₽.

Практические шаги для образовательного учреждения

1. Аудит. Провести раз в год внешнюю оценку соответствия 152-ФЗ и ISO 27001.
2. Шифрование. Хранить ПДн на серверах с шифрованием AES-256, использовать TLS 1.3.
3. Ведение журнала учёта. Фиксировать каждый доступ к базе: кто, когда, какие поля просматривал.
4. Двухфакторка. Вводить 2FA для всех администраторов электронных журналов.
5. Обучение персонала. Ежеквартальные тренинги по ИБ и этике обращения с ПДн.
6. Договор с подрядчиком. Включить пункт о субоператорстве и неустойке 0,1 % за каждый день простоя системы.
7. План реагирования. Заранее подготовить шаблон уведомления РКН для быстрой отправки в течение 24 ч.

Перспективы 2026 г.: гарантированные выплаты пострадавшим

Минцифра и Минпросвещения разрабатывают законопроект о гарантированных компенсациях для родителей и учащихся:

• Фиксированная выплата 25 000 ₽ за каждый факт утечки.
• Дополнительное возмещение убытков через Фонд защиты прав субъектов ПДн.
• Источник финансирования, обязательное страхование ответственности операторов (аналог ОСАГО).

Чек-лист для директора

Перед учебным годом убедитесь:

1. Утверждена локальная политика по ПДн.
2. Сформирован реестр информационных систем, где хранятся данные учащихся.
3. Подписаны согласия родителей с актуальными текстами.
4. Проведён внешний тест на проникновение (pentest).
5. Разработан и отработан план ликвидации инцидента.

Нарушение конфиденциальности персональных данных учащихся — это не просто «сбой в системе», а системный риск, который может обернуться штрафами, уголовными делами и репутационными потерями. Своевременные инвестиции в ИБ, обучение персонала и профессиональную экспертизу позволяют школе не только избежать санкций, но и заслужить доверие родителей и общества.

Если вы обнаружили признаки утечки, не откладывайте: немедленно изолируйте систему, зафиксируйте следы инцидента и уведомите Роскомнадзор в течение 24 часов. Вопросы юридического сопровождения можно адресовать специалистам по защите персональных данных или юридическим отделам образовательных округов.